유출 사고가 나면 과징금은 반드시 나오나요?

아닙니다. 유출이 생겨도 처리자가 안전성 확보에 필요한 조치를 다한 경우에는 과징금을 부과하지 않습니다. 다만 사고 당시 고시가 정한 조치를 하고 있었다는 점을 내부 관리계획과 기록으로 보여 주어야 합니다.

조사에서 가장 먼저 보는 안전조치는 무엇인가요?

계정 도용·해킹 사고라면 접근 권한의 최소 부여와 말소 기록, 외부 접속 시 안전한 인증수단, 비밀번호 등 암호화, 접속기록 보관과 점검이 먼저 쟁점이 됩니다. 권한 내역은 최소 3년 보관해야 합니다.

과징금 기준이 되는 매출은 전체 매출인가요?

전체 매출액에서 위반행위와 관련 없는 매출을 뺀 금액이 기준입니다. 사업 3년 이상이면 직전 사업연도와 직전 3개 사업연도 연평균 중 큰 금액을 전체 매출로 보고, 자료를 내지 않으면 전체 매출로 추정될 수 있습니다.

보안에 투자한 것도 감경 사유가 되나요?

2026. 9. 11.부터 개인정보 보호에 예산·인력·설비를 투자하고 운영한 경우 기준금액의 40% 범위에서 감경하는 단계가 생겼습니다. 다만 고의 또는 중대한 과실로 위반한 경우에는 이 감경을 받을 수 없습니다.

과징금 상한이 10%로 오른 경우는 언제인가요?

고의·중과실로 3년 안에 같은 위반을 반복한 경우, 고의·중과실로 피해 1천만명 이상인 경우, 시정조치 명령을 따르지 않아 유출이 생긴 경우입니다. 반복 가중은 개정법 시행 이후 처분을 받은 뒤 다시 위반한 경우부터 적용됩니다.

2026. 10. 31.부터 접속기록 기준이 바뀌나요?

접속기록 점검이 월 1회 이상에서 내부 관리계획으로 정한 주기와 방법에 따른 점검으로 바뀌고, 보관 대상이 접속한 자 전체(정보주체 제외)로 넓어집니다. 위반 여부는 원칙적으로 사고 당시 기준으로 봅니다.

회사·사업 가이드 목록

개인정보

개인정보 유출 뒤 보호위원회 조사를 받는데 안전조치를 다 했다면 과징금을 피할 수 있나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.13 갱신

법은 유출이 생겨도 처리자가 안전성 확보에 필요한 조치를 다했다면 과징금을 부과하지 않는다고 정합니다. 다만 접근 권한, 외부 접속 인증, 암호화, 접속기록 점검을 사고 당시 기록으로 보여 주어야 하고, 빈틈이 있으면 관련 매출에 부과기준율을 곱한 금액에서 투자·협조 감경을 다투게 됩니다.

조사 단계에서

개인정보보호위원회의 자료제출 요구에는 사실대로 답하고, 매출액 산정 자료는 보호위원회가 20일 이내로 정한 기간 안에 냅니다. 과징금 처분 사전통지를 받으면 통지서의 기한(10일 이상) 안에 의견을 낼 수 있습니다.

개인정보가 유출됐다고 과징금이 자동으로 나오는 것은 아닙니다. 법은 유출이 되지 않도록 안전성 확보에 필요한 조치를 다한 경우를 과징금 대상에서 빼고 있습니다. 조사의 중심은 사고 당시 고시가 요구하는 조치를 하고 있었는지, 그것을 기록으로 보여 줄 수 있는지입니다. 조치에 빈틈이 있더라도 관련 매출의 범위, 보안 투자, 협조와 피해 회복에 따라 금액은 크게 달라집니다.

이런 상담이 많습니다

C사는 회원 약 30만명의 온라인 쇼핑몰입니다. 2026. 8. 3. 관리자 계정이 도용되어 회원 12만명의 이름·연락처·주소가 빠져나갔고, C사는 통지와 신고를 마쳤습니다. 2026. 9. 14. 보호위원회가 내부 관리계획, 접근 권한 기록, 접속기록과 직전 3개 사업연도 매출 자료를 요청했습니다. 관리자 페이지는 외부에서 아이디와 비밀번호만으로 접속할 수 있었고, 접속기록은 보관했지만 점검한 기록은 드문드문했습니다. C사 대표는 안전조치를 했다고 주장할 수 있는지, 과징금은 어떻게 계산되는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

안전조치를 다 했다면 과징금이 정말 안 나오나요?

유출이 생기면 전체 매출액의 100분의 3 이하 과징금 대상이 되지만, 처리자가 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않습니다. 고시는 이 조치의 최소한의 기준을 정하고, 처리자가 보유 규모와 정보 유형에 맞게 적용하도록 합니다. 실제 조사에서는 처리자가 낸 내부 관리계획과 각종 기록으로 이행 여부를 판단하므로, 했다는 주장보다 사고 당시의 기록이 결론을 가릅니다.

과징금과 별개로, 안전조치를 하지 않은 사실 자체는 유출이 없어도 3천만원 이하 과태료 대상입니다. 시행령 기준 금액은 1회 900만원, 2회 1,800만원, 3회 이상 3,000만원입니다. 그래서 조사에서는 과징금 부과 여부와 과태료 부과 여부가 함께 검토되는 경우가 많습니다.

조사에서는 어떤 안전조치를 먼저 보나요?

해킹이나 계정 도용 사고에서는 접근 권한, 외부 접속 인증, 암호화, 접속기록이 먼저 쟁점이 됩니다. 사례의 C사처럼 개인정보처리시스템에 외부에서 접속하면서 인증서·보안토큰·일회용 비밀번호 같은 안전한 인증수단을 쓰지 않았다면 조치를 다했다고 주장하기 어렵습니다. 반대로 1만명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립을 생략할 수 있어, 처리 규모에 따라 요구 수준이 다릅니다. 고시가 처리자의 환경에 맞는 조치를 적용하도록 한 만큼, 회사 규모와 보유 정보에 비추어 어떤 조치가 필요했는지부터 짚습니다.

조사에서 먼저 보는 안전조치와 남길 기록

항목	고시가 요구하는 조치	준비할 기록
내부 관리계획	수립·시행, 연 1회 이상 이행 점검	승인본, 점검 결과
접근 권한	업무에 필요한 최소 범위, 변경 시 지체 없이 말소	부여·변경·말소 내역(3년)
외부 접속 (핵심 행)	인증서·보안토큰·일회용 비밀번호 등 안전한 인증	인증 설정 내역
암호화	비밀번호 일방향 암호화, 주민등록번호·계좌번호 등 암호화 저장	암호화 적용 현황
접속기록	1년 이상(5만명 이상 등은 2년) 보관과 점검	보관 로그, 점검 결과

외부 접속 인증과 접속기록 점검은 계정 도용 사고에서 가장 먼저 확인되는 항목입니다.

출처 - 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2026-9호) 제4조부터 제8조까지

기준 일부는 2026. 10. 31.부터 달라집니다. 접속기록 점검이 「월 1회 이상」에서 내부 관리계획으로 정한 주기·방법·사후조치에 따른 점검으로 바뀌고, 보관 대상도 개인정보취급자에서 시스템에 접속한 자(정보주체 제외)로 넓어집니다. 위반 여부는 원칙적으로 사고 당시 기준으로 판단하므로, 2026. 8. 사고인 C사에는 월 1회 점검 기준이 적용될 수 있습니다.

과징금은 어떤 순서로 계산하나요?

먼저 전체 매출액을 정합니다. 사업 3년 이상이면 직전 사업연도 매출과 직전 3개 사업연도 연평균 중 큰 금액입니다. 여기서 사고와 관련 없는 매출을 빼고, 위반의 중대성에 따른 부과기준율(약한 위반 0.03%부터 매우 중대한 위반 2.7%까지)을 곱해 기준금액을 냅니다. 전체 매출 400억원 중 쇼핑몰과 무관한 도매 매출 100억원을 빼고 중대한 위반 하한 1.5%를 곱하면 기준금액은 4억 5천만원입니다.

과징금 기준금액 계산(사례)

단위 원

과징금 기준금액 계산(사례) (단위 원)
	전체 매출액	40,000,000,000
빼기	사고와 관련 없는 도매 매출	10,000,000,000
합계	관련 매출액	30,000,000,000
곱하기	부과기준율(중대한 위반 하한)	1.5%
합계	기준금액	450,000,000

기준금액에서 투자감경, 1차·2차 조정, 부과과징금 결정을 차례로 거칩니다.

단순 예시 계산

기준금액에서 보안 투자에 따른 감경(40% 범위), 위반 기간·이익·규모에 따른 1차 조정(90% 범위), 협조·피해 회복·인증·자진신고 등에 따른 2차 조정(50% 범위)을 차례로 거칩니다. 매출 산정 자료를 정당한 사유 없이 내지 않으면 전체 매출액을 기준으로 추정할 수 있으므로, 무관 매출을 구분하는 회계 자료를 빨리 정리합니다.

이번 개정으로 과징금이 더 무거워질 수 있나요?

2026. 9. 11. 시행 개정법은 고의·중과실 반복, 고의·중과실로 피해 1천만명 이상, 시정조치 불이행으로 생긴 유출에 대해 전체 매출액의 100분의 10 이하로 상한을 올렸습니다. 반복 가중은 시행 이후 위반으로 처분을 받은 뒤 다시 위반한 경우부터, 시정조치 불이행은 시행 이후 명령을 받은 경우부터 적용되고, 1천만명 기준은 시행 당시 끝나지 않은 위반에도 적용됩니다. 같은 개정으로 생긴 보안 투자 감경은 고의·중과실 위반에는 적용되지 않습니다.

유출 사고 과징금 조사 대응 순서

기록 보전 - 접속기록, 권한 변경 내역, 내부 관리계획 승인본을 사고 당시 상태로 보전합니다.
조치 항목 대조 - 고시 조항별로 이행 여부와 증빙을 표로 정리합니다.
관련 매출 정리 - 사고와 무관한 사업 매출을 구분하는 회계 자료를 준비합니다.
감경 자료 확보 - 보안 투자 내역, 인증, 피해 회복과 재발 방지 조치를 모읍니다.
의견제출 - 사전통지를 받으면 기한 안에 이행 사실과 감경 사유를 서면으로 냅니다.

여기까지는 일반 기준이고, 사고 당시 어떤 조치를 기록으로 남겼는지와 관련 매출을 어디까지로 보는지에 따라 과징금 부과 여부와 금액이 달라집니다. 법무법인 윤성은 개인정보 유출 사고의 보호위원회 조사와 과징금 의견제출, 불복을 수행합니다.

스스로 점검해 보기

해당하는 문항이 있으면 그 할 일부터 챙겨 두세요. 혼자 하기 어려우면 변호사에게 맡기세요.

사고 당시 외부에서 개인정보처리시스템에 접속할 때 안전한 인증수단을 썼나요?
인증 설정 내역을 보전해 안전조치 이행 자료로 냅니다.
「개인정보의 안전성 확보조치 기준」 제6조 제2항
접근 권한 부여·말소 내역과 접속기록 점검 결과가 남아 있나요?
사고 당시 상태 그대로 보전하고 조항별 이행 표에 넣습니다.
「개인정보의 안전성 확보조치 기준」 제5조 제3항, 제8조
회사 매출 중 이번 사고와 관련 없는 사업 매출이 있나요?
사업부별 손익 자료로 관련 없는 매출을 구분해 냅니다.
개인정보 보호법 제64조의2 제3항, 같은 법 시행령 제60조의2 제3항
최근 개인정보 보호에 예산·인력·설비를 투자했나요?
투자 규모와 지속성 자료를 모아 감경 사유로 냅니다.
개인정보 보호법 제64조의2 제6항, 같은 법 시행령 제60조의2 제5항

변호사에게 보내기

실무상 착안점

유출 사고 직후에는 통지와 신고에 매달리느라 기록 보전이 뒤로 밀리기 쉽습니다. 그런데 몇 주 뒤 조사에서 가장 먼저 요구받는 것이 사고 시점의 접속기록과 권한 변경 내역입니다. 로그 보관 기간이 지나 지워지거나 복구 과정에서 덮어쓰이면 조치를 했다는 사실을 보여 줄 길이 사라집니다.

안전조치 항변은 전부 아니면 전무가 아닙니다. 한두 항목에 빈틈이 있어도 그 빈틈이 이번 유출과 관련이 없었다는 점, 나머지 조치는 충실했다는 점은 중대성 판단과 감경 단계에서 그대로 쓰입니다. 그래서 고시 조항별로 이행 여부와 증빙을 표로 만드는 작업이 의견서의 뼈대가 됩니다.

매출 자료는 늦게 낼수록 불리합니다. 사고와 관련 없는 사업 매출을 구분하지 못하면 전체 매출이 기준이 되므로, 사업부별 손익 자료를 회계팀과 함께 일찍 정리해 두는 것이 금액을 줄이는 가장 현실적인 방법입니다.

— 허진영 변호사 · 회사·사업

이 상황에서 자주 묻는 것

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

채팅으로 끝까지전화 안 하셔도 돼요
사진 한 장이면 시작모르는 건 비워 두셔도 돼요
금액부터 알려 드려요보시고 맡길지 정하시면 돼요
10분 안에 답업무시간 기준 · 알림톡으로 알려요
변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요